0

Пробую сделать тестовый REST API на yii2. В документации указаны три базовых способа аутентификации. Решил попробовать HTTP Basic Auth. Но возникли проблемы и вопросы.

В документации указано, что в контроллере следует настроить поведения

use yii\filters\auth\HttpBasicAuth;

public function behaviors()
{
    $behaviors = parent::behaviors();
    $behaviors['authenticator'] = [
        'class' => HttpBasicAuth::className(),
    ];
    return $behaviors;
}

А после настроить метод findIdentityByAccessToken(), но где? В примере ниже для класса User

use yii\db\ActiveRecord;
use yii\web\IdentityInterface;

class User extends ActiveRecord implements IdentityInterface
{
    public static function findIdentityByAccessToken($token, $type = null)
    {
        return static::findOne(['access_token' => $token]);
    }
}

Ну и более того, выходит, что всё это нужно писать в каждом контроллере для каждой модели. А если их 50? Дублировать одно и то же столько раз? Как тут быть? И что не так? И где настроить метод findIdentityByAccessToken()? Всего лишь нужна общая авторизация на всё API в одном месте

1 ответ 1

0

Чтобы не копировать это во все контроллеры, можно в конфиге приложения добавить событие и через него запретить использовать все без авторизации кроме отдельных эндпоинтов. Готовый код для config/web.php:

'as beforeRequest' => [
    'class' => yii\filters\AccessControl::className(),
    'rules' => [
        [
            'allow' => true,
            'actions' => [
                'login',
                'registration',
            ],
        ],
        [
            'allow' => true,
            'roles' => ['@'],
        ],
    ],
    'denyCallback' => function ($rule, $action) {
        throw new \yii\web\UnauthorizedHttpException('You are not allowed to access this page');
    }
],
2
  • а как тогда залогиниться? Обращаясь к api я ведь должен передавать в заголовках к запросах ключ авторизации, тем самым подписывая каждый запрос. Или же следует создать отдельный контроллер для авторизации, отправлять туда данные для входы, проверять и авторизовывать?И потом в заголовках ничего не слать?
    – n.osennij
    25 янв 2018 в 10:07
  • Как угодно. Можно использовать стандартный подход с кукой. Естесственно будет эндпоинт для входа, то есть для получения куки или токена. Кукой же вы тоже грубо говоря подписываете.
    – zabachok
    25 янв 2018 в 11:46

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.